Quando un’azienda decide di svolgere una campagna promozionale tramite posta elettronica utilizzando banche dati acquisite da agenzie di marketing o da altri broker di dati che spesso si limitano a proporle come “conformi al GDPR” senza farsi troppi scrupoli, è sempre opportuno accertarsi di essere poi in grado di dimostrare che gli interessati abbiano effettivamente dato il consenso a cedere i loro dati a terzi, e che siano stati messi a conoscenza di quali siano le società a cui vengono cedute le informazioni che li riguardano, altrimenti si rischia di andare incontro a sanzioni salate. Lo ha imparato a sue spese la EDF, che in Francia è la prima azienda di energia elettrica.
Bastava chiamare il call center e fornire al sistema di assistenza automatizzato il nome e la data di nascita di un qualsiasi cliente per ottenere ampie informazioni ed ulteriori dati personali dell’interessato. Il caso era stato infatti sollevato nel 2018, quando una donna aveva chiamato la hotline, e con questa escamotage aveva ottenuto il nuovo numero di cellulare del suo ex marito.
L’autorità per la protezione dei dati personali del Belgio ha sanzionato gli aeroporti Zaventem e Charleroi-Bruxelles Sud di Bruxelles per aver effettuato controlli della temperatura corporea dei passeggeri e somministrato loro questionari anamnestici nell'ambito della lotta al Covid-19 senza disporre di una valida base giuridica e senza aver neppure fatto una valutazione d’impatto prima di raccogliere i dati sanitari dei viaggiatori.
L'Autorità belga per la protezione dei dati ha multato un'associazione che, sostenendo di avere un legittimo interesse, aveva inviato messaggi di marketing diretto a degli ex donatori che anni prima avevano contribuito a delle raccolte fondi, i quali nel frattempo avevano però esercitato il loro diritto di opposizione al trattamento ai sensi dell’21 del Gdpr, richiedendo al titolare la cancellazione dei loro dati personali ai sensi dell’art.17 del Gdpr.
Patteggiamento per le violazioni privacy. Alcune società belghe (settore media) hanno raggiunto un accordo con il locale Garante della privacy e, senza riconoscimento della loro responsabilità, hanno accettato di pagare 10 mila euro per alcune violazioni della privacy. Il provvedimento (decisione n. 151/2022 del 21/10/2022) rappresenta il primo caso, di cui si ha notizia, di accordi di questo tipo. L'episodio mette sotto i riflettori il sistema sanzionatorio del regolamento Ue sulla privacy 2016/679.
La Vueling Airlines è stata sanzionata dal Garante per la privacy spagnolo perché giudicata non adeguata al Gdpr in materia di cookies, in quanto visitando il sito web della compagnia area gli utenti non avevano la reale possibilità di rifiutare o accettare i cookies sui propri dispositivi.
In Brasile, Facebook è stato condannato dal Segretariato nazionale dei consumatori (Senacon) a pagare una multa di 6,6 milioni di real, (pari a circa 1,25 milioni di euro) per la fuga di dati personali degli utenti brasiliani nell’ambito della vicenda “Cambridge Analytica”.
La compagnia aerea British Airways, che di recente ha dovuto tagliare 12 mila posti di lavoro a causa della crisi del Covid-19, dovrà pagare una sanzione da 20 milioni di sterline (pari a 22 milioni di euro) per il gigantesco data breach che nel 2018 aveva riguardato i dati personali di quasi mezzo milione di passeggeri.
La DSK Bank, una banca del gruppo ungherese OTP, è stata sanzionata in Bulgaria per un importo corrispondente a più di mezzo milione di euro a seguito di una violazione di dati personali che ha colpito 33.492 clienti.
L'autorità bulgara per la protezione dei dati personali imporrà una sanzione di circa 2,6 milioni di euro all'Agenzia Nazionale delle Entrate per la violazione che ha portato al furto dei dati personali di circa 4,1 milioni di contribuenti.
